Sicurezza del Network e Log dei Dati
Una domanda che ci viene posta spesso riguarda quali misure adottiamo per proteggere i nostri utenti. Questo paragrafo è per rispondere al meglio a questa domanda. Questa non è una lista completa di tutte le procedure e precauzioni approntate, ma semplicemente un breve riepilogo per chi vuole conoscere alcuni aspetti tecnici.
Connessioni usando Client
Le connessioni SSL sono disponibili su tutti i server di questa rete, anche sulla nostra webchat. Usa la porta 6697 nel tuo client per connetterti usando SSL. Come sappiamo, in qualsiasi connessione a qualsiasi server , l'indirizzo IP è visibile se si sa dove guardare. Tutti gli IP che si connettono alla nostra rete sono offuscati in modo da non essere visualizzati dagli altri utenti. Questa azione è eseguita automaticamente usando un modulo di cloacking che genera chiavi in modo casuale ed esegue un algoritmo per rendere il tuo IP non rintracciabile. Le chiavi sono cambiate ad intervalli regolari. Tutti i nuovi nick sono configurati con la funzione Nickserv kill per evitare false impersonificazioni.Dati Utente
Detto semplicemente: non conserviamo log che possano identificare un utente. Questo include i logs dell'IRCd, service logs, BOPM scan logs, version replies o qualsiasi log di sistema che potrebbe identificare in qualsivoglia maniera l'utente durante la frequentazione del network.
Inspircd crea un log chiamato startup.log anche quando viene definita un policy di esclusione/non generazione dei log. Questo log viene inviato in dev/null e quindi non viene mai scritto su disco. BOPM non genera assolutamente alcun tipo di log e il file BOPM.log viene anche esso inviato in dev/null anche se comunque le connessioni rilevate da BOPM non sono in realtà utenti. I servizi creano dei file di log che contengono la data di generazione come parte del filename, cosa che rende difficile mandarli in dev/null. questi log vengono bonificati usando il comando shred viene performato automaticamente ogni 180 secondi. Questi file vengono quindi sovrascritti svariate volte con dati random e infine sovrascritti con una passata di soli zero. L'insieme di queste precauzioni rendono estremamente difficile recuperare dati riguardanti i nostri utenti dai server.
Misure Di Sicurezza
Per prima cosa dobbiamo ricordare a tutti che IRC NON è un mezzo di comunicazione da considerarsi sicuro e incoraggiamo tutti gli utenti a informarsi e predisporre/configurare i propri client per avere il massimo della sicurezza disponibile. I metodi per rendere maggiormente sicuro il proprio client non vengono trattati in questa pagina ma ci sono numerose risorse sull'argomento nel network ed in particolar modo nei chan creati per aiutare gli utenti in tema di anonimità in rete.
Usiamo le più recenti versioni disponibili di Inspircd e Anope per assicurarci di non essere vulnerabili a bug ed explot già scoperti e rilasciati. Controlliamo con frequenza giornaliera report di eventuali bugs/exploits e nel caso ve ne siano di nuovi prendiamo misure appropriate. In aggiunta a ciò manteniamo tutto il software di sistema aggiornato tramite l'utilizzo di un package manager e, nel caso la versione del software nelle repositories sia particolarmente vecchia o obsoleta usiamo il sorgente. Questo si verifica di frequente e spesso ci troviamo a compilare noi stessi il sorgente .
Come potete immaginare il semplice fatto che un bug non sia stato scoperto o documentato non vuol dire che non esista. Prendiamo misure aggiuntive per assicurarci che l'impatto in uno scenario simile sia il minore e più contenuto possibile. Facciamo questo tramite vari monitors e utilities di sistema come tripwire, logwatch network IPS solo per menzionarne alcuni.
Il nostro IRCd gira come utente senza privilegi e il nostro demone dei servizi gira come un user separato dall'IRCd: nell'eventualità che uno dei due venga compromesso l'altro non verrà coinvolto. In aggiunta a queste misure usiamo iptables per inibire e bloccare connessioni in entrata e in uscita ai nostri fingerprinteds hubs e subhubs assicurandoci così che solo gli utenti autorizzati possano inviare e ricevere dati dal nostro core network.Dove possibile facciamo girare i nostri demoni SSH su IP differenti che non vengono mai resi pubblici. L'accesso SSH è necessario per la gestione dei nostri servers. Ci assicuriamo che sia il più blindato possibile. NON permettiamo l'autenticazione SSH tramite password in nessun server, usiamo solo autenticazione tramite chiavi. L'accesso con root è disabilitato tramite SSH. Usiamo solamente la release più recente di OpenSSH e le librerie openssl più recenti, tutte compilate dal source più aggiornato.
Le nostre pratiche e procedure volte a garantire la sicurezza del network vengono testate e revisionate quotidianamente e non solo da noi. Abbiamo il diritto/dovere di difendere e proteggere i nostri utenti. Questo significa che se decidi di fare Dos/DDoS, Nmap/Portscan o tenti di utilizzare exploits, bruteforzare l'SSH, bruteforzare le pswd degli opers ecc i tuoi tentativi VERRANNO LOGGATI dal nostro sistema di difesa e prevenzione intrusioni.
